In teoria: contatta un CNA o una mailing list
Come altri hanno affermato, dovresti contattare una CNA . Se non riesci a trovarne uno nell'elenco dei fornitori di software, dovrai contattare direttamente MITER.
Potresti anche postarlo in una mailing list invece di contattare un CNA. MITRE cita bugtraq - dove si pubblica la vulnerabilità (non una richiesta per un CVE), e idealmente si ottiene un CVE da MITRE -, ma si potrebbe anche usare oss-security, che viene principalmente utilizzato per le richieste CVE (si può vedere il tasso di assegnazioni da cve-assign @ MITER, quindi puoi considerare se ne vale la pena).
Se richiedi CVE tramite più metodi, dovresti menzionare eventuali richieste precedenti - riuscite o meno - per evitare assegnazioni duplicate.
Queste possibilità sono descritte anche da MITER nella loro Richiesta di un CVE pagina di informazioni:
Contact one of the officially recognized CVE Numbering Authorities
(CNAs) [... o]r, contact an emergency response team such as CERT/CC,
etc., post the information to mailing lists such as Bugtraq, or
provide the information to a vulnerability analysis team [...] If you
are unable to obtain a CVE Identifier number via the main methods
above, you may request a CVE Identifier number directly from the CVE
project.
In pratica: MITER sta riscontrando problemi nell'assegnare CVE
Il fatto è che MITER sta avendo problemi ad assegnare i CVE a causa di un aumento delle vulnerabilità scoperte, quindi richiede un po 'di fortuna per ottenerne uno da loro.
Ci sono state delle lamentele per un po 'e MITER ha una nota sul loro sito web che definisce un "ritardo":
The recent explosion of Internet-enabled devices—known as the Internet
of Things—as well as the propagation of software-based functionality
in systems has led to a huge increase in the number of CVE requests we
have been receiving on a daily basis. We did not anticipate this rate
of growth, and, as a result, were not as prepared for the latest surge
in requests over the past 12 months as we had hoped. The result has
been some of the delay in CVE assignments that the software security
community has recently witnessed. We recognize the inconvenience that
has resulted, and are working hard to come up with a solution.
Mentre MITER parla solo di un ritardo, altri riferiscono di non ricevere alcuna risposta, vedi qui , qui o qui (che è anche la mia esperienza e quale attività alle mailing list come oss -sicurezza indica).